대형사고 발생때마다 사고 수습에 기존예산 유용 일반화
수동적 경계기반 체계 넘어 차세대 보안프로세스 마련을
수동적 경계기반 체계 넘어 차세대 보안프로세스 마련을
■ 보안 강국이 IT강국이다
독일 화학자 리비히의 `최소량의 법칙'은 식물이 성장을 할 때 모든 생육 요소가 충분하더라도 어떤 한 요소가 부족하면 제대로 성장하지 못한다는 것을 밝혀낸 이론이다.
이 이론은 정보보안 분야에 그대로 적용된다. 보안 공격이나 내부 유출을 막기 위해 요소 요소마다 아무리 많은 투자를 했다 하더라도 미처 막아내지 못한 보안 취약점이 한 곳이라도 있으면 바로 그곳을 노린 보안사고가 발생한다는 의미다.
연초부터 사상초유의 신용카드 정보유출 대란이 발생하면서 금융기관을 중심으로 `내부정보유출방지'나 `암호화' 기술에 관심이 뜨겁다. 이전에도 다르지 않았다. 대규모 사이버테러나 해킹 사건이 발생할 때마다 특정 보안시스템이나 기술을 도입하려는 기업들의 관심과 투자는 끊이질 않았다.
하지만 이는 대형 보안사고 사태 수습에만 매몰된 투자였을 뿐 정작 중요한 보안 투자는 오히려 줄여버리는 조삼모사식 투자였다는 지적이 나온다.
보안업계는 `대형 사고가 났을 때 오히려 기업의 보안 체계는 흐트러진다'고 분석하고 있다. 기업이 보안 예산을 잡아놓은 게 있었는데, 이번 카드정보 유출사태와 같은 대형사고가 터지면 그 사고 수습을 위해 기존 예산을 끌어다 쓰는 것이 일반화돼 있다는 것이다. 그러다 보니 또 다른 보안 구멍이 양산돼, 결국 기업은 더 큰 보안 위협에 노출되는 악순환에 빠진다는 것이 전문가들의 지적이다.
실제로 최근 카드정보 유출 사태로 인해 금융기관들은 내부정보유출 관리시스템이나 암호화 기술을 도입하기 위해 부랴부랴 해당 업계에 기술 제안요청을 하고 있다. 한 보안솔루션 업체 임원은 "그동안 해당 금융사들은 암호화 필요성에 대해 모두 인지하고 있었으나 예산을 핑계로 미뤄왔다. 그런데 사고가 터지자 갑자기 한두달 내로 암호화를 할 수 있는 방안을 마련해 달라고 이제와 요청을 하고 있다"면서 "정작 암호화 외에 다른 보안 프로젝트는 또 다시 홀딩(중단)된 상태"라고 전했다.
전문가들이 우려했던 `보안예산 돌려막기' 현상이 금융기관에서 단적으로 나타나고 있는 셈이다.
보안전문업계 협단체인 지식정보보안산업협회 심종헌 회장은 "특정 보안이슈가 발생했을 때 (정부나 기업이)이를 차단하고 방어하기 위한 시스템을 발빠르게 구축하는 것은 물론 좋은 현상이다. 하지만 이런 `발빠른 대응'을 위해 기존 보안 예산을 줄이거나 예정돼 있던 보안 로드맵을 변경하는 것은 상황을 더 나쁘게 만드는 최악의 수"라고 지적했다.
이장훈 협회 상근부회장도 "대형 보안사고가 생겼을 때 정부는 사태 수습을 하겠다며 부랴부랴 각종 의무화 정책을 내놓는데, 기업은 그 의무 시스템을 구축하기 위해 기존 예산을 끌어다 쓰니 기형적인 보안 체계가 오히려 양산된다"고 지적했다.
보호 테두리가 돼야 할 법제도 역시 기형적인 보안체계 양성에 한 몫을 하기도 한다.
심 회장은 "대형 보안사고가 생겼을 때 정부는 사태 수습을 하겠다며 각종 의무화 정책을 땜질식으로 내놓는데, 기업은 그 의무 시스템을 구축하기 위해 기존 예산을 끌어다 쓰니 기형적인 보안 체계가 오히려 양산된다"고 지적했다.
정보보호 법률 권위자도 "법은 아무리 잘 만들어도 급변하는 기술을 뒤쫓기 어렵다. 이권에 휘둘려 어설픈 세부 규칙만 양산하면 기업은 규제에 시름하고 정보보호는 부실체계의 악순환에 빠진다"고 꼬집었다.
특히 보안체계 구축은 `최소량의 법칙'이 적용되는 분야인만큼 일부 보안 시스템이나 기술을 의무화한다고 보안 문제가 해결되는 것이 아니라는 것을 정부와 기업이 함께 인지해야 한다고 전문가들은 강조한다.
실제로 컨설팅업체 딜로이트안진회계법인이 조사한 바에 따르면 기업의 정보 유출 경로는 최대 150여개에 이른다. 시스코가 최근 발표한 2014 연례보안보고서에서도 올해 보안 위협은 2000년 이후 최대 상태에 달하며 기업이 내포하고 있는 각종 보안 취약점도 최대치에 이르렀다고 경고했다.
조사결과에서 보듯 보안 취약점과 이를 겨냥한 위협이 급증하고 있는 상황에서 특정 부분에 대한 투자만 강화한다고 보안문제를 해결할 수 있는 것은 아니란 얘기다.
이경호 고려대 금융보안연구센터장은 "보안 위협은 그 기업이나 기관의 가장 취약한 부분을 집요하게 찾아 들어오기 때문에 (보안사고가 발생했다고 해서)미봉책으로 일부 시스템의 보안만 강화해서는 결코 위협으로부터 자유로울 수 없다"고 목소리를 높였다.
그는 "특히 이번에 발생한 카드정보 유출사고는 보안장치를 아무리 잘 해놨다 하더라도 내부 직원이 나쁜 마음을 먹고 보안프로그램을 해제하면 속수무책으로 당할 수밖에 없는 허점을 여실히 보여준 사례"라면서 "보안 체계를 강화하기 위해서는 보안시스템 투자와 기술에 대한 이해, 이를 준수하려는 조직 문화 전반의 개선 그리고 총체적으로 지휘할 경영자의 의식수준까지 모두 재정립해야만 보안사고를 막을 수 있다"고 강조했다.
그렇다면 어떻게 해야 보안체계를 제대로 재정립할 수 있는 것일까.
전문가들은 기존 모니터링 중심의 수동적 경계기반 보안체계를 넘어서는 새로운 차세대 정보 보안 프로세스가 필요하다고 조언한다. 또한 각종 공격과 위협에 선제적으로 대응할 수 있는 정확하고 신속한 보안 프로세스를 구축하기 위해서는 기업의 정보 보안 부서가 사내의 다양한 비즈니스 사업 부서들과 더욱 밀접한 협력체계를 구축해야 한다고 강조했다.
먼저 정보 흐름에 따른 정보 보안 업무 프로세스를 구축해야 한다. 서버나 애플리케이션과 같은 인프라 기준이 아닌 정보의 흐름에 따른 보안 프로세스가 필요하며, 관련된 사업 부서들과 함께 보안 위험에 대응하는 업무 프로세스를 문서화하고 이를 준수하는 `전사적 협업'이 필요하다는 것이다.
아울러 보안 위협에 대한 정량적 손실 평가 체계를 수립하는 것이 좋다. 정보 보안 위협을 사업적인 관점에서 설명할 수 있어야 하고 각각의 정보 보안 사고에 의한 손실을 재무적인 관점에서 정량화해야 한다. 이런 근거가 있어야 기업들도 보안 투자에 대해 섣불리 뒤로 미루거나 회피하지 않고 적극적으로 투자에 나설 것이기 때문이다.
보안을 그저 전문가 영역으로만 분류하지 말고 사업과 연계된 `전사적 정보 보안 프레임워크'를 구현해야 한다는 조언도 나온다. 기업의 정보 보안 활동에 대한 객관적인 점검과 평가 또한 이뤄져야 하며 이 모든 활동을 데이터 화 해 축적하는 것도 기업의 보안을 강화할 수 있는 방안으로 꼽히고 있다.
심종헌 지식정보보안산업협회장은 "국내 보안업체들은 지난해 매출액 기준으로 2.5% 성장하는데 그쳤다. 해킹이 급속도로 증가하고 문서 유출, 개인정보 유출 등 대형 사고가 끊이지 않았지만 관련 솔루션 업체들의 매출 성장률은 1%가 안되는 곳도 수두룩하다. 그만큼 사고가 터졌을 때 요란하기만 했을 뿐 기업들이 제대로 된 보안투자를 하지 않았다는 의미"라며 "이제라도 기업들은 땜질식 보안투자가 아닌 전사적 보안체계 정립에 나서야 한다"고 조언했다.
강은성기자 esther@
독일 화학자 리비히의 `최소량의 법칙'은 식물이 성장을 할 때 모든 생육 요소가 충분하더라도 어떤 한 요소가 부족하면 제대로 성장하지 못한다는 것을 밝혀낸 이론이다.
이 이론은 정보보안 분야에 그대로 적용된다. 보안 공격이나 내부 유출을 막기 위해 요소 요소마다 아무리 많은 투자를 했다 하더라도 미처 막아내지 못한 보안 취약점이 한 곳이라도 있으면 바로 그곳을 노린 보안사고가 발생한다는 의미다.
연초부터 사상초유의 신용카드 정보유출 대란이 발생하면서 금융기관을 중심으로 `내부정보유출방지'나 `암호화' 기술에 관심이 뜨겁다. 이전에도 다르지 않았다. 대규모 사이버테러나 해킹 사건이 발생할 때마다 특정 보안시스템이나 기술을 도입하려는 기업들의 관심과 투자는 끊이질 않았다.
하지만 이는 대형 보안사고 사태 수습에만 매몰된 투자였을 뿐 정작 중요한 보안 투자는 오히려 줄여버리는 조삼모사식 투자였다는 지적이 나온다.
보안업계는 `대형 사고가 났을 때 오히려 기업의 보안 체계는 흐트러진다'고 분석하고 있다. 기업이 보안 예산을 잡아놓은 게 있었는데, 이번 카드정보 유출사태와 같은 대형사고가 터지면 그 사고 수습을 위해 기존 예산을 끌어다 쓰는 것이 일반화돼 있다는 것이다. 그러다 보니 또 다른 보안 구멍이 양산돼, 결국 기업은 더 큰 보안 위협에 노출되는 악순환에 빠진다는 것이 전문가들의 지적이다.
실제로 최근 카드정보 유출 사태로 인해 금융기관들은 내부정보유출 관리시스템이나 암호화 기술을 도입하기 위해 부랴부랴 해당 업계에 기술 제안요청을 하고 있다. 한 보안솔루션 업체 임원은 "그동안 해당 금융사들은 암호화 필요성에 대해 모두 인지하고 있었으나 예산을 핑계로 미뤄왔다. 그런데 사고가 터지자 갑자기 한두달 내로 암호화를 할 수 있는 방안을 마련해 달라고 이제와 요청을 하고 있다"면서 "정작 암호화 외에 다른 보안 프로젝트는 또 다시 홀딩(중단)된 상태"라고 전했다.
전문가들이 우려했던 `보안예산 돌려막기' 현상이 금융기관에서 단적으로 나타나고 있는 셈이다.
보안전문업계 협단체인 지식정보보안산업협회 심종헌 회장은 "특정 보안이슈가 발생했을 때 (정부나 기업이)이를 차단하고 방어하기 위한 시스템을 발빠르게 구축하는 것은 물론 좋은 현상이다. 하지만 이런 `발빠른 대응'을 위해 기존 보안 예산을 줄이거나 예정돼 있던 보안 로드맵을 변경하는 것은 상황을 더 나쁘게 만드는 최악의 수"라고 지적했다.
이장훈 협회 상근부회장도 "대형 보안사고가 생겼을 때 정부는 사태 수습을 하겠다며 부랴부랴 각종 의무화 정책을 내놓는데, 기업은 그 의무 시스템을 구축하기 위해 기존 예산을 끌어다 쓰니 기형적인 보안 체계가 오히려 양산된다"고 지적했다.
보호 테두리가 돼야 할 법제도 역시 기형적인 보안체계 양성에 한 몫을 하기도 한다.
심 회장은 "대형 보안사고가 생겼을 때 정부는 사태 수습을 하겠다며 각종 의무화 정책을 땜질식으로 내놓는데, 기업은 그 의무 시스템을 구축하기 위해 기존 예산을 끌어다 쓰니 기형적인 보안 체계가 오히려 양산된다"고 지적했다.
정보보호 법률 권위자도 "법은 아무리 잘 만들어도 급변하는 기술을 뒤쫓기 어렵다. 이권에 휘둘려 어설픈 세부 규칙만 양산하면 기업은 규제에 시름하고 정보보호는 부실체계의 악순환에 빠진다"고 꼬집었다.
특히 보안체계 구축은 `최소량의 법칙'이 적용되는 분야인만큼 일부 보안 시스템이나 기술을 의무화한다고 보안 문제가 해결되는 것이 아니라는 것을 정부와 기업이 함께 인지해야 한다고 전문가들은 강조한다.
실제로 컨설팅업체 딜로이트안진회계법인이 조사한 바에 따르면 기업의 정보 유출 경로는 최대 150여개에 이른다. 시스코가 최근 발표한 2014 연례보안보고서에서도 올해 보안 위협은 2000년 이후 최대 상태에 달하며 기업이 내포하고 있는 각종 보안 취약점도 최대치에 이르렀다고 경고했다.
조사결과에서 보듯 보안 취약점과 이를 겨냥한 위협이 급증하고 있는 상황에서 특정 부분에 대한 투자만 강화한다고 보안문제를 해결할 수 있는 것은 아니란 얘기다.
이경호 고려대 금융보안연구센터장은 "보안 위협은 그 기업이나 기관의 가장 취약한 부분을 집요하게 찾아 들어오기 때문에 (보안사고가 발생했다고 해서)미봉책으로 일부 시스템의 보안만 강화해서는 결코 위협으로부터 자유로울 수 없다"고 목소리를 높였다.
그는 "특히 이번에 발생한 카드정보 유출사고는 보안장치를 아무리 잘 해놨다 하더라도 내부 직원이 나쁜 마음을 먹고 보안프로그램을 해제하면 속수무책으로 당할 수밖에 없는 허점을 여실히 보여준 사례"라면서 "보안 체계를 강화하기 위해서는 보안시스템 투자와 기술에 대한 이해, 이를 준수하려는 조직 문화 전반의 개선 그리고 총체적으로 지휘할 경영자의 의식수준까지 모두 재정립해야만 보안사고를 막을 수 있다"고 강조했다.
그렇다면 어떻게 해야 보안체계를 제대로 재정립할 수 있는 것일까.
전문가들은 기존 모니터링 중심의 수동적 경계기반 보안체계를 넘어서는 새로운 차세대 정보 보안 프로세스가 필요하다고 조언한다. 또한 각종 공격과 위협에 선제적으로 대응할 수 있는 정확하고 신속한 보안 프로세스를 구축하기 위해서는 기업의 정보 보안 부서가 사내의 다양한 비즈니스 사업 부서들과 더욱 밀접한 협력체계를 구축해야 한다고 강조했다.
먼저 정보 흐름에 따른 정보 보안 업무 프로세스를 구축해야 한다. 서버나 애플리케이션과 같은 인프라 기준이 아닌 정보의 흐름에 따른 보안 프로세스가 필요하며, 관련된 사업 부서들과 함께 보안 위험에 대응하는 업무 프로세스를 문서화하고 이를 준수하는 `전사적 협업'이 필요하다는 것이다.
아울러 보안 위협에 대한 정량적 손실 평가 체계를 수립하는 것이 좋다. 정보 보안 위협을 사업적인 관점에서 설명할 수 있어야 하고 각각의 정보 보안 사고에 의한 손실을 재무적인 관점에서 정량화해야 한다. 이런 근거가 있어야 기업들도 보안 투자에 대해 섣불리 뒤로 미루거나 회피하지 않고 적극적으로 투자에 나설 것이기 때문이다.
보안을 그저 전문가 영역으로만 분류하지 말고 사업과 연계된 `전사적 정보 보안 프레임워크'를 구현해야 한다는 조언도 나온다. 기업의 정보 보안 활동에 대한 객관적인 점검과 평가 또한 이뤄져야 하며 이 모든 활동을 데이터 화 해 축적하는 것도 기업의 보안을 강화할 수 있는 방안으로 꼽히고 있다.
심종헌 지식정보보안산업협회장은 "국내 보안업체들은 지난해 매출액 기준으로 2.5% 성장하는데 그쳤다. 해킹이 급속도로 증가하고 문서 유출, 개인정보 유출 등 대형 사고가 끊이지 않았지만 관련 솔루션 업체들의 매출 성장률은 1%가 안되는 곳도 수두룩하다. 그만큼 사고가 터졌을 때 요란하기만 했을 뿐 기업들이 제대로 된 보안투자를 하지 않았다는 의미"라며 "이제라도 기업들은 땜질식 보안투자가 아닌 전사적 보안체계 정립에 나서야 한다"고 조언했다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
